K121.559/0003-DSK/2010 – Datenschutzkommission Entscheidung

[Anmerkung Bearbeiter: Namen (Firmen), (Internet )Adressen, Aktenzahlen (und dergleichen), Rechtsformen und Produktbezeichnungen etc. sowie deren Initialen und Abkürzungen können aus Anonymisierungsgründen abgekürzt und/oder verändert sein. Offenkundige Rechtschreib-, Grammatik- und Satzzeichenfehler wurden korrigiert.]

B E S C H E I D

Die Datenschutzkommission hat unter dem Vorsitz von Dr. KURAS und in Anwesenheit der Mitglieder Dr. STAUDIGL, Dr. BLAHA, Dr. SOUHRADA-KIRCHMAYER, Dr. ROSENMAYR-KLEMENZ und Mag. HEILEGGER sowie der Schriftführerin Mag. KIMM in ihrer Sitzung vom 24. Februar 2010 folgenden Beschluss gefasst:

S p r u c h

Über die Beschwerde der Hannelore S*** in 1220 Wien (Beschwerdeführerin), vertreten durch ***, vom 1. September 2009 gegen die M*** GmbH (Beschwerdegegnerin) wegen einer behaupteten Verletzung im Recht auf Auskunft wird wie folgt entschieden:

Rechtsgrundlagen: §§ 1 Abs. 3 Z 1, 26 Datenschutzgesetz 2000 BGBl I Nr. 165/1999 idF BGBl I Nr. 136/2001 und 31 Abs. 1 des Datenschutzgesetzes 2000, BGBl I Nr. 165/1999 idgF.

B e g r ü n d u n g

A. Vorbringen der Parteien und Verfahrensgang

Die Beschwerdeführerin behauptet in ihrer Beschwerde vom 1. September 2009 eine Verletzung in ihrem Recht auf Auskunft. Die Beschwerdegegnerin sei ihrem Auskunftsbegehren vom 30. Juni 2009 mit Schreiben vom 27. August 2009 nur unvollständig nachgekommen. Darin würden nämlich nur beispielhaft Datenarten angeführt werden, ohne jedoch die konkreten Daten zu beauskunften. Weiters enthalte die Auskunft auch keinen Hinweis über die Datenherkunft, eventuelle Übermittlungsempfänger oder eingesetzte Dienstleister, obwohl diese Auskunft ausdrücklich begehrt worden sei.

Mit ihrer Stellungnahme vom 25. September 2009 legte die Beschwerdegegnerin ihr an die Beschwerdeführerin gerichtetes ergänzendes Auskunftsschreiben vom selben Tag vor.

Dazu führte die Beschwerdeführerin in ihrer Eingabe vom 8. Oktober 2009 aus, das Auskunftsrecht des § 26 DSG 2000 verlange, dass zu jeder Datenanwendung deren Zweck sowie deren Rechtsgrundlage in allgemein verständlicher Form anzuführen seien. In der Auskunft der Beschwerdegegnerin befinde sich unter dem Punkt „Rechtsgrundlage“ lediglich ein Hinweis auf deren „Geschäftsbedingungen“, welche jedoch nicht beauskunftet worden und der Antragsstellerin auch unbekannt seien. Weiters finde sich dort auch die Formulierung „Ihre Daten werden physisch bei unserer Konzernmutter in Deutschland verarbeitet“. Diese Formulierung sei verwirrend und unverständlich. Darüber hinaus werde in der Auskunft mitgeteilt, dass „Adressdaten“ an mehrere Stellen übermittelt werden würden. Bei „Adressdaten“ handle es sich um eine Datenart. Um welche konkreten Daten es sich dabei handle, werde nicht beauskunftet. Schließlich befinde sich bei der Übermittlung von „Adressdaten“ an die A*** GmbH der Hinweis, dass diese zur Ermittlung der Zahlart durchgeführt werde. Es werde jedoch nicht mitgeteilt, welche Daten in diesem Zusammenhang von der A*** GmbH ermittelt werden würden.

Mit ihrer Stellungnahme vom 21. Oktober 2009 legte die Beschwerdegegnerin ihr an die Beschwerdeführerin gerichtetes ergänzendes Auskunftsschreiben vom selben Tag vor.

Dazu führte die Beschwerdeführerin in ihrer Eingabe vom 10. November 2009 aus, die Beschwerdegegnerin habe nach wie vor, die der Beschwerdeführerin unbekannten „Geschäftsbedingungen“ nicht vorgelegt. Weiters sei auch die Datenart „Adressdaten“ nicht konkretisiert worden und sei auch nicht bekannt gegeben worden, welche Daten im Detail an die fünf Übermittlungsempfänger übermittelt worden seien. Auch sei nicht bekannt gegeben worden, welche Daten von A*** „zur Ermittlung der Zahlart im Rahmen der Bestellausführung“ konkret ermittelt worden seien.

Mit ihren Stellungnahmen vom 27. November 2009 und vom 9. Dezember 2009 legte die Beschwerdegegnerin jeweils ihre an die Beschwerdeführerin gerichteten ergänzenden Auskunftsschreiben vom selben Tag vor.

Dazu hat sich die Beschwerdeführerin im Rahmen des Parteiengehörs nicht geäußert.

B. Beschwerdegegenstand

Aufgrund des Beschwerdevorbringens ergibt sich, dass Gegenstand der Beschwerde die Frage ist, ob die Beschwerdegegnerin der Beschwerdeführerin auf ihr Auskunftsbegehren vom 30. Juni 2009 eine dem Gesetz entsprechende Auskunft erteilt hat.

C. Sachverhalt

Aufgrund des Vorbringens der Parteien ist von folgendem Sachverhalt auszugehen:

Mit Schreiben vom 30. Juni 2009 begehrte die Beschwerdeführerin von der Beschwerdegegnerin u.a. Auskunft über die bei ihr gespeicherten Daten, über die Herkunft und die Empfänger dieser Daten sowie über den Zweck und die Rechtsgrundlage ihrer Verarbeitung. Weiters ersuchte die Beschwerdeführerin, „werden die Daten nach § 10 DSG 2000 verarbeitet“, zusätzlich um Auskunft über Name und Anschrift des Dienstleisters.

Daraufhin teilte die Beschwerdegegnerin der Beschwerdeführerin mit Schreiben vom 27. August 2009 allgemein mit, dass sie die anlässlich von Bestellungen anfallenden Daten (Name, Anschrift, ggf. Telefonnummer) zum Zweck der Bestellabwicklung sowie zu Marketingzwecken verwende.

Beweiswürdigung: Diese Feststellungen ergeben sich aus den mit der Beschwerde vorgelegten Schreiben.

Über Aufforderung der Datenschutzkommission erteilte die Beschwerdegegnerin der Beschwerdeführerin mit Schreiben vom 25. September 2009 folgende auszugsweise wiedergegebene ergänzende Auskunft:

„…

Wir haben folgende Daten in unserem System gespeichert:

…

Name: Hannelore S***

Adressdaten: ***

…

Geb.datum.: ***

…

Herkunft der Daten: Kundenangaben

…

Weitere Daten von Ihnen sind bei uns nicht gespeichert.

…

Übermittlung der Adressdaten an: A*** GmbH

(Zur Ermittlung der Zahlart im Rahmen der Bestellausführung)

…

J*** GmbH

…

Rechtsgrundlage:

Laut unseren Geschäftsbedingungen erklärt sich der Kunde bis auf Widerruf mit der Zusendung von Informationen befreundeter Firmen einverstanden. …

Als Rechtsgrundlage für die Verwendung Ihrer Daten sehen wir den mit Ihnen geschlossenen Vertrag …

Ihre Daten werden physisch bei unserer Konzernmutter in Deutschland verarbeitet.

M*** GmbH

Sie haben am 29.01.2009 der Übermittlung Ihrer Daten zu Werbezwecken widersprochen. Seit diesem Datum werden die Adressdaten nur noch zur Bestellausführung und zur eigenen Bewerbung genutzt.

…“

Mit Schreiben vom 21. Oktober 2009 führte die Beschwerdegegnerin gegenüber der Beschwerdeführerin in Bezug auf den Satz „Ihre Daten werden physisch bei unserer Konzernmutter in Deutschland verarbeitet“ erklärend aus, dass die Kundendaten der Beschwerdegegnerin im Stammhaus, der M *** GmbH, in geeigneten, hochsicheren Speichermedien gesichert werden würden.

Mit Schreiben vom 27. November und vom 9. Dezember 2009 teilte die Beschwerdegegnerin der Beschwerdeführerin ergänzend mit, dass es sich bei den an die in der Auskunft vom 25. September 2009 aufgezählten Empfänger übermittelten Adressdaten um den Vornamen, den Nachnamen und die Adresse handelt. Zusätzlich habe sie dem Empfänger, A*** GmbH, das Geburtsdatum der Beschwerdeführerin übermittelt. A*** GmbH habe der Beschwerdegegnerin daraufhin bezogen auf die Beschwerdeführerin einen Scorewert von 397 übermittelt. Die Beschwerdegegnerin schloss der Auskunft vom 27. November 2009 eine Kopie ihrer Geschäftsbedingungen an.

Beweiswürdigung: Diese Feststellungen ergeben sich aus den von der Beschwerdegegnerin vorgelegten Schreiben vom 25. September 2009, vom 21. Oktober 2009, vom 27. November 2009 und vom 9. Dezember 2009.

D. In rechtlicher Hinsicht folgt daraus:

1. anzuwendende Rechtsvorschriften

Die hier wesentlichen Bestimmungen des Datenschutzgesetzes 2000, BGBl I Nr. 165/1999 idF BGBl I Nr. 136/2001, lauten auszugsweise:

„§ 1. …

(3) Jedermann hat, soweit ihn betreffende personenbezogene Daten zur automationsunterstützten Verarbeitung oder zur Verarbeitung in manuell, d.h. ohne Automationsunterstützung geführten Dateien bestimmt sind, nach Maßgabe gesetzlicher Bestimmungen

1. das Recht auf Auskunft darüber, wer welche Daten über ihn verarbeitet, woher die Daten stammen, und wozu sie verwendet werden, insbesondere auch, an wen sie übermittelt werden;

…

§ 26. (1) Der Auftraggeber hat dem Betroffenen Auskunft über die zu seiner Person verarbeiteten Daten zu geben, wenn der Betroffene dies schriftlich verlangt und seine Identität in geeigneter Form nachweist. Mit Zustimmung des Auftraggebers kann das Auskunftsbegehren auch mündlich gestellt werden. Die Auskunft hat die verarbeiteten Daten, die verfügbaren Informationen über ihre Herkunft, allfällige Empfänger oder Empfängerkreise von Übermittlungen, den Zweck der Datenverwendung sowie die Rechtsgrundlagen hiefür in allgemein verständlicher Form anzuführen. Auf Verlangen des Betroffenen sind auch Namen und Adresse von Dienstleistern bekannt zu geben, falls sie mit der Verarbeitung seiner Daten beauftragt sind. Mit Zustimmung des Betroffenen kann anstelle der schriftlichen Auskunft auch eine mündliche Auskunft mit der Möglichkeit der Einsichtnahme und der Abschrift oder Ablichtung gegeben werden.

…

(4) Innerhalb von acht Wochen nach Einlangen des Begehrens ist die Auskunft zu erteilen oder schriftlich zu begründen, warum sie nicht oder nicht vollständig erteilt wird. Von der Erteilung der Auskunft kann auch deshalb abgesehen werden, weil der Betroffene am Verfahren nicht gemäß Abs. 3 mitgewirkt oder weil er den Kostenersatz nicht geleistet hat.

…“

§ 31 Abs. 1 und Abs. 8 Datenschutzgesetz 2000 BGBl I Nr. 165/1999 idgF (DSG 2000) lautet auszugsweise:

„§ 31. (1) Die Datenschutzkommission erkennt über Beschwerden von Personen oder Personengemeinschaften, die behaupten, in ihrem Recht auf Auskunft nach § 26 oder nach § 50 Abs. 1 dritter Satz oder in ihrem Recht auf Darlegung einer automatisierten Einzelentscheidung nach § 49 Abs. 3 verletzt zu sein, soweit sich das Auskunftsverlangen (der Antrag auf Darlegung oder Bekanntgabe) nicht auf die Verwendung von Daten für Akte im Dienste der Gesetzgebung oder der Gerichtsbarkeit bezieht.

…

(8) Ein Beschwerdegegner, gegen den wegen Verletzung in Rechten nach den §§ 26 bis 28 Beschwerde erhoben wurde, kann bis zum Abschluss des Verfahrens vor der Datenschutzkommission durch Reaktionen gegenüber dem Beschwerdeführer gemäß § 26 Abs. 4 oder § 27 Abs. 4 die behauptete Rechtsverletzung nachträglich beseitigen.

…“

2. rechtliche Schlussfolgerungen

Die Beschwerdeführerin behauptet in ihrer Beschwerde eine Verletzung in ihrem Recht auf Auskunft, weil die Beschwerdegegnerin ihrem Auskunftsbegehren vom 30. Juni 2009 mit Schreiben vom 27. August 2009 nur unvollständig nachgekommen sei. Es würden nämlich nur beispielhaft Datenarten angeführt werden, ohne jedoch die konkreten Daten zu beauskunften. Weiters enthalte die Auskunft auch keinen Hinweis über die Datenherkunft, eventuelle Übermittlungsempfänger oder eingesetzte Dienstleister, obwohl diese Auskünfte ausdrücklich begehrt worden seien.

Wie aus § 31 Abs. 8 DSG 2000 hervorgeht, kann ein datenschutzrechtlicher Auftraggeber eine ursprünglich nicht vollständig erbrachte Auskunft durch spätere Auskunft bis zum Abschluss des Verfahrens vor der Datenschutzkommission „sanieren“ und damit die behauptete Rechtsverletzung nachträglich beseitigen.

Die Beschwerdegegnerin hat der Beschwerdeführerin nach Beschwerdeerhebung, aber noch vor Bescheiderlassung, konkret Auskunft über die bei ihr über die Beschwerdeführerin verarbeiteten Daten sowie über deren Herkunft und die Empfänger ihrer Daten erteilt. Weiters teilte die Beschwerdegegnerin der Beschwerdeführerin in Bezug auf § 10 Datenschutzgesetz 2000 mit, dass ihre Daten physisch bei der Konzernmutter in Deutschland verarbeitet werden. Als Rechtsgrundlage der Datenverarbeitung nannte die Beschwerdegegnerin den zwischen ihr und der Beschwerdeführerin abgeschlossenen Vertrag, wonach sie laut den darin enthaltenen Geschäftbedingungen der in Rede stehenden Datenverarbeitung zum Zweck der Bestellabwicklung, aber auch zu Marketingzwecken, zugestimmt habe.

Im Rahmen des Verfahrens vor der Datenschutzkommission bemängelt die Beschwerdeführerin auch die Vollständigkeit dieser nachgeholten Auskünfte mit der Begründung, es seien darin die an die Empfänger übermittelten Daten sowie die von dem Empfänger „A*** GmbH“ an die Beschwerdegegnerin übermittelten Daten nicht genannt worden. Auch sei der Satz „Ihre Daten werden physisch bei unserer Konzernmutter in Deutschland verarbeitet“ sowie der genannte Zweck und die genannte Rechtsgrundlage der Datenverarbeitung nicht verständlich.

Die Beschwerdegegnerin hat daraufhin der Beschwerdeführerin ergänzend mitgeteilt, welche die Beschwerdeführerin betreffenden Daten sie konkret an die von ihr genannten Empfänger übermittelt hat sowie welche Daten sie von der A*** GmbH („Scorewert“) über die Beschwerdeführerin erhalten hat. Bezogen auf den Satz „Ihre Daten werden physisch bei unserer Konzernmutter in Deutschland verarbeitet“ teilte die Beschwerdegegnerin der Beschwerdeführerin erklärend mit, dass ihre Daten dem Stammhaus der M*** GmbH in Deutschland zu Speicherzwecken überlassen wurden. Für die Datenschutzkommission bestehen keine Bedenken an der Verständlichkeit dieser Auskunft und wird eine solche von der Beschwerdeführerin im weiteren Verfahren auch gar nicht mehr behauptet.

Sofern die Beschwerdeführerin schließlich eine Unvollständigkeit der nachgeholten Auskunft auch darin erblickt, dass die Darlegung des Zwecks und der Rechtsgrundlage unverständlich seien, übersieht sie, dass ihr die Beschwerdegegnerin bereits im Rahmen ihrer ersten Auskunft verständlich mitgeteilt hat, dass sie Daten der Beschwerdeführerin zum Zweck der Bestellabwicklung und zu Marketingzwecken verarbeite. Aber auch in Bezug auf die Rechtsgrundlage teilte die Beschwerdegegnerin der Beschwerdeführerin in verständlicher Form mit, dass sie ihre Daten von ihr selbst habe und verwies sie – unter gleichzeitiger Vorlage ihrer Geschäftsbedingungen – nochmals ausdrücklich auf den zwischen ihr und der Beschwerdeführerin abgeschlossenen Vertrag und auf die daraus resultierende Zustimmung der Beschwerdeführerin zur Datenverarbeitung in Bezug auf die genannten Zwecke. Die letztendliche Beurteilung, ob nun diese Rechtsgrundlage die in Rede stehenden Datenverarbeitungen zu den genannten Zwecken überhaupt deckt oder nicht, kann im Rahmen eines Auskunftsverfahrens vor der Datenschutzkommission nicht behandelt werden.

Gründe, die ansonsten gegen die Vollständigkeit und auch die Verständlichkeit der Auskunft sprechen würden, sind für die Datenschutzkommission nicht ersichtlich und wurden von der Beschwerdeführerin schriftlich auch nicht mehr behauptet. Die Beschwerde erweist sich daher insgesamt als unbegründet, weshalb spruchgemäß zu entscheiden war.